Apple od roku nie naprawia luki w Hide My Email. Funkcja ujawnia prawdziwe adresy w kilka minut

Jak to podważa gwarancję prywatności iCloud+

Hide My Email to flagowa funkcja subskrypcji iCloud+, która obiecuje użytkownikom możliwość tworzenia jednorazowych, anonimowych adresów e-mail, które przekazują wiadomości na prawdziwą skrzynkę bez ujawniania jej . Ta luka całkowicie niszczy tę obietnicę: każda strona internetowa, broker danych czy osoba działająca w złej wierze, która ma dostęp do aliasu, może potencjalnie poznać prawdziwy adres e-mail użytkownika, co przekreśla cel funkcji, jakim jest prywatność, unikanie śledzenia i spam .

Reakcja Apple i zmiana domeny

• Czerwiec 2025 – Murphy po raz pierwszy zgłosił lukę Apple. Firma potwierdziła i poinformowała, że prowadzi dochodzenie .
• Marzec 2026 – Apple poinformowało Murphy'ego, że problem został „rozwiązany w ramach ostatniej zmiany systemowej”. Murphy przetestował poprawkę i stwierdził, że luka nadal działa, co oznacza, że rzekoma łatka Apple była nieskuteczna .
• 16 czerwca 2026 – Apple ogłosiło, że wszystkie nowe aliasy Hide My Email i Sign in with Apple będą korzystać z nowej, wspólnej domeny: @private.icloud.com, zastępując dotychczasowy podział na @icloud.com i @privaterelay.appleid.com .

Dlaczego zmiana domeny jest krytykowana

Ta zmiana nie naprawia podstawowej luki. Wręcz przeciwnie – pogarsza sytuację pod innym względem . Dotychczas alias Hide My Email (np. abc123@icloud.com) był nieodróżnialny od zwykłego osobistego adresu e-mail iCloud, więc strony internetowe nie mogły stwierdzić, czy użytkownik jest anonimowy . Nowa domena @private.icloud.com jednoznacznie oznacza każdy adres jako alias prywatności, co sprawia, że każda strona lub usługa może z łatwością blokować, flagować lub odrzucać anonimowe rejestracje . Eksperci ds. prywatności opisują to jako ruch, który „całkowicie usuwa tę dwuznaczność” i czyni funkcję mniej użyteczną .

Na dzień 1 lipca 2026 r. podstawowa luka pozostaje niezałatana – ponad rok po pierwszym zgłoszeniu .

Szersze obawy: brak naprawy i ujawnienia dla organów ścigania

Nierozwiązany błąd po ponad 13 miesiącach

Fakt, że Apple przez ponad rok nie naprawiło skutecznie luki umożliwiającej odwrotne śledzenie – mimo że w marcu 2026 r. twierdziło, że została załatana – rodzi pytania o proces reagowania na zagrożenia i to, czy funkcje prywatności iCloud+ otrzymują odpowiednią uwagę ze strony inżynierów .

Ujawnienia dla organów ścigania

W marcu 2026 r. wiele serwisów poinformowało, że Apple przekazało FBI prawdziwy adres e-mail iCloud powiązany z aliasem Hide My Email w ramach śledztwa w sprawie gróźb . Z dokumentów sądowych wynika, że Apple ujawniło tożsamość co najmniej dwóch subskrybentów iCloud+ korzystających z tej funkcji . Choć warunki korzystania z usług Apple zawsze na to pozwalały w przypadku uzasadnionych żądań prawnych, incydent ujawnił, jak dużo informacji Apple może i udostępnia – w tym mapowanie między aliasami a prawdziwymi kontami . Jest to sprzeczne z marketingowym wrażeniem „anonimowego” maskowania e-maili i dodatkowo nadszarpnęło zaufanie do deklarowanych funkcji prywatności .

Podsumowanie obaw dotyczących zaufania

• Funkcja jest jednocześnie podatna na techniczne wykorzystanie (niezałatana luka umożliwiająca odwrotne śledzenie) i prawnie przejrzysta dla organów ścigania (Apple przechowuje mapowanie i udostępnia je na żądanie) .
• Jedyna publiczna zmiana Apple – przeniesienie na domenę @private.icloud.com – nie rozwiązuje luki, a wręcz ułatwia serwisom blokowanie anonimowych użytkowników .
• Badacze bezpieczeństwa i eksperci ds. prywatności argumentują, że połączenie tych problemów czyni Hide My Email wprowadzającym w błąd produktem chroniącym prywatność, który nie zapewnia deklarowanej anonimowości .